Firma digitale scaduta: il documento è ancora valido?
Il certificato scade, la firma no. Quello che cambia è la possibilità di dimostrarlo, e dipende da un dettaglio che quasi nessuno guarda.
Cosa significa «certificato scaduto»
Un certificato di firma digitale ha una durata, quasi sempre di tre anni. Dentro il certificato ci sono due date — in gergo notBefore e notAfter — e il periodo fra le due è l'unica finestra in cui quel certificato può essere usato per apporre una firma.
Quando apri un documento firmato e il visualizzatore dice «certificato scaduto», sta dicendo una cosa sola: oggi quel certificato non potrebbe più firmare nulla. Non sta dicendo che il documento che hai davanti è invalido. È la confusione più diffusa di tutta la materia, e nasce dal fatto che i due concetti condividono la stessa parola.
- Il certificato scade a una data fissa, decisa quando viene emesso.
- La firma non scade: è un fatto avvenuto in un istante preciso del passato.
- La verifica è la cosa che si complica, perché deve stabilire se quell'istante cadeva dentro la finestra di validità.
Il documento resta valido?
Sì, se la firma è stata apposta mentre il certificato era valido. È il principio per cui un contratto firmato a mano nel 1998 vale ancora oggi, benché la penna non esista più: conta il momento della sottoscrizione, non quello della lettura.
Il problema è dimostrarlo. Senza un riferimento temporale opponibile ai terzi, un verificatore che apre il file nel 2030 sa solo che il certificato è scaduto nel 2026, e non ha modo di escludere che la firma sia stata apposta dopo la scadenza. È qui che entra la marca temporale.
Nel linguaggio tecnico la distinzione si chiama validità alla data di firma contro validità alla data di verifica. Un documento può essere perfettamente valido nella prima accezione e dare «scaduto» nella seconda: sono entrambe risposte corrette a due domande diverse.
Il ruolo della marca temporale
La marca temporale è una firma aggiuntiva, apposta da un soggetto terzo, che attesta l'esistenza del documento a una certa data e ora. Con una marca temporale valida, la verifica può ricostruire che la firma precede la scadenza del certificato, e l'esito resta positivo a distanza di anni.
Senza marca temporale, il documento non diventa invalido — ma la sua verificabilità si degrada col tempo. Per gli atti che devono durare (contratti pluriennali, atti societari, documenti destinati alla conservazione) la marca temporale non è un accessorio: è la differenza fra un documento che si potrà verificare nel 2040 e uno che darà un avviso che nessuno saprà più interpretare.
Molti file li ricevi comunque con un attributo di data di firma incorporato, che è cosa diversa dalla marca temporale: lo dichiara chi firma, non un terzo, quindi è un indizio e non una prova. Il nostro lettore lo mostra quando c'è.
Come controllare la scadenza in dieci secondi
Non serve installare nulla. Trascina il file .p7m nella pagina principale: la scheda del firmatario riporta il periodo di validità del certificato, il numero di serie, l'ente che l'ha emesso e, se presente, la data di firma dichiarata.
- Apri il file — trascinalo nell'area di caricamento. Il documento non viene inviato da nessuna parte: viene letto dal browser sul tuo dispositivo.
- Leggi la riga «Scadenza» — se la data è passata, accanto compare l'indicazione di certificato scaduto.
- Guarda l'emittente — confrontiamo il nome di chi ha emesso il certificato con l'elenco ufficiale dei prestatori qualificati italiani ed europei. Un certificato scaduto emesso da un ente qualificato è un caso del tutto diverso da uno di provenienza ignota.
Quello che il controllo nel browser non fa, e che è giusto sapere: non interroga le liste di revoca del certificatore, perché richiederebbe una connessione ai suoi server e quindi far uscire informazioni sul documento dal tuo dispositivo.
Cosa fare se la firma è scaduta
- Se hai ricevuto tu il documento — conserva il file originale
.p7m, non solo il PDF estratto. La firma vive nella busta: il PDF da solo è il documento «nudo», senza alcuna prova di chi l'ha sottoscritto. - Se il documento ti serve per un adempimento — chiedi a chi te l'ha inviato una copia con marca temporale, oppure una nuova sottoscrizione. Rifirmare costa pochi minuti; discutere a posteriori sulla verificabilità costa molto di più.
- Se sei tu ad avere il certificato scaduto — il rinnovo si fa presso lo stesso ente che te l'ha rilasciato. I documenti che hai già firmato restano validi: non vanno rifirmati per il solo fatto del rinnovo.
Domande frequenti
Una firma digitale scaduta invalida il contratto?
No. Vale il momento della sottoscrizione: se la firma è stata apposta mentre il certificato era valido, il documento conserva la sua efficacia. La scadenza successiva riguarda la possibilità di apporre nuove firme con quel certificato, non quelle già apposte.
Perché il verificatore mi dice «scaduto» se il documento è del 2023?
Perché molti verificatori confrontano la scadenza del certificato con la data di oggi, non con la data di firma. È una risposta corretta a una domanda diversa da quella che ti interessa. Se nel file c'è una marca temporale o un attributo di data di firma, quello è il dato da guardare.
Posso rinnovare un certificato scaduto e «riattivare» le vecchie firme?
No, e non serve. Il rinnovo produce un certificato nuovo, con un nuovo periodo di validità. Le firme apposte in passato restano legate al certificato con cui sono state fatte e non cambiano stato.
Come faccio a sapere se un file ha la marca temporale?
La marca temporale è un oggetto incorporato nella busta di firma. Un lettore che analizza la struttura del file la segnala quando c'è; in sua assenza trovi al massimo l'attributo di data di firma, che è dichiarato da chi firma e non da un terzo.
La scadenza del certificato è la stessa cosa della revoca?
No. La scadenza è prevista fin dall'emissione ed è nota a tutti. La revoca è un atto successivo, con cui il certificatore annulla il certificato prima della scadenza naturale — per esempio in caso di smarrimento del dispositivo. Verificare la revoca richiede di interrogare i server del certificatore.
